检查注册表项是否链接到另一个注册表项（或副本）

Question

如何检查注册表项是否使用Winapi链接到另一个？

例如，我需要找出哪个分支是原始的HKEY_LOCAL_MACHINE\\SECURITY\\SAM或HKEY_LOCAL_MACHINE\\SAM\\SAM ， HKEY_CURRENT_USER或HKEY_USERS\\S-1-5-21 。

我对键和值的类型感到困惑。 钥匙有类型吗？ 我可以REG_LINK使用REG_LINK类型吗？

Answer 1

首先，我们必须打开密钥本身，而不是潜在的符号链接密钥所指的密钥（这是默认行为）。

为此，我们需要在调用RegOpenKeyExW或ZwOpenKeyEx使用选项REG_OPTION_OPEN_LINK 。 另一种方法是在OBJECT_ATTRIBUTES使用OBJ_OPENLINK属性。 并在调用ZwOpenKey[Ex]

打开密钥后，我们可以通过ZwQueryKey查询（从win7开始）未记录的KeyFlagsInformation信息。 如果标志表明这是符号链接-我们可以查询SymbolicLinkValue值以获取链接目标键。 请注意，即使使用REG_LINK类型，也存在此值-不能证明这是符号链接。

struct KEY_CONTROL_FLAGS_INFO_W7  // KeyFlagsInformation for Win7
{
    ULONG ControlFlags[3];
};

#define KEY_CTRL_FL_W7_01__IS_VOLATILE                                 0x01
#define KEY_CTRL_FL_W7_01__SYM_LINK                                    0x02

LSTATUS IsSymLink(HKEY hKey, PCWSTR lpSubKey, BOOL& IsLink)
{
    LSTATUS r = RegOpenKeyEx(hKey, lpSubKey, REG_OPTION_OPEN_LINK, KEY_READ|KEY_WOW64_64KEY, &hKey);

    if (r == NOERROR)
    {
        ULONG Type, cb = 0, rcb = 0x80;

        KEY_CONTROL_FLAGS_INFO_W7 kcf;

        NTSTATUS status;

        if (0 <= (status = ZwQueryKey(hKey, KeyFlagsInformation, &kcf, sizeof(kcf), &cb)))
        {
            if (kcf.ControlFlags[1] & KEY_CTRL_FL_W7_01__SYM_LINK)
            {
                IsLink = TRUE;
                DbgPrint("key is link\n");

                PVOID stack = alloca(guz), buf = 0;

                do 
                {
                    if (cb < rcb)
                    {
                        cb = RtlPointerToOffset(buf = alloca(rcb - cb), stack);
                    }

                    r = RegQueryValueExW(hKey, L"SymbolicLinkValue", 0, &Type, (PBYTE)buf, &(rcb = cb));

                    if (r == NOERROR && Type == REG_LINK && !(rcb & (sizeof(WCHAR) - 1)))
                    {
                        DbgPrint("%.*S\n", rcb / sizeof(WCHAR), buf);
                    }

                } while (r == ERROR_MORE_DATA);
            }
        }
        else
        {
            r = RtlNtStatusToDosError(status);
        }

        RegCloseKey(hKey);
    }

    return r;
}

---

钥匙有类型吗？

没有。 类型仅具有键值

我可以为此使用REG_LINK类型吗？

我们可以在通常的（非链接）键上创建类型为REG_LINK SymbolicLinkValue值，但此后该键不再成为链接。 密钥必须首先使用REG_OPTION_CREATE_LINK选项创建。 因此，通过查询SymbolicLinkValue值，我们无法可靠地检查这是否是链接，但是如果我们知道这是链接-我们可以通过查询SymbolicLinkValue来获取链接的目标